Hackeo Asterisk

[josefors]

Hola Buen día,

En al semana pasada hackearon mi servidor de Asterisk e hicieron llamadas Mundiales. Aplique lo que sugiere Christian en sus artículos sobre seguridad en asterisk y adicional instale Fail2ban. Durante la semana ya no hubo problemas pero este fin de semana volvieron a meterse a mi servidor agregando una ruta de salida para llamadas Mundiales, en este ocasión no realizaron ninguna llamada ya que bloquee los puertos SIP en el Firewall y con Telmex bloquee la llamadas Mundiales. El reporte de CDR no muestra intentos de llamadas por lo que supongo que no se pudieron registrar desde fuera a ninguna extension a pesar de que crearon una nueva con la finalidad de conocer el password, imagino que si funciono el bloqueo de puertos SIP.

El log de Fail2ban no muestra información sobre posibles intentos a través de ssh. Alguna sugerencia para evitar que se metan en mi server y haya mas problemas??? he vuelto a cambiar la contraseña de root.

Como podría saber desde que puerto se están conectando??? ya que tengo bloqueado el ssh desde el Firewall y con Failtoban.

Espero que alguno de ustedes me pueda ayudar.

Saludos y gracias.

[Marco Zink]

Estás utilizando Asterisk puro? O estás utilizando algo como FreePBX o Elastix?

[josefors]

Hola,

Elastix 1.6-12

En el mismo server tengo un CRM (sugar) y esta publicado en internet y pues tiene un puerto abierto. Me comentaban que hiciera un cron para monitorear los puertos cada 5 min y mandarlo a un archivo, sabes algo al respecto o alguna sugerencia?

Gracias.

[Christian Cabrera]

Dicen que ahogado el niño, a tapar el pozo. Definitivamente se están conectando por el puerto HTTPS (TCP 443). Jamás recomiendo que se dejen abiertos por este tipo de motivos, y lo mejor sería que si necesitas el Sugar, lo tuvieras en un equipo aparte conectado independientemente del conmutador.

Si forzosamente necesitas tenerlo allí, utiliza cierre de directorios usando Apache para que permitas que entren a tu carpeta /sugarcrm pero no permitas el paso ni a / ni a /admin ni a ninguna otra carpeta que no sea exclusivamente esa.

Saludos,

[josefors]

Hola,

Lamentablemente ese es mi caso pero definitivamente aprendí a ser mas precavido. Por el momento no podré cambiar el CRM de servidor. EL acceso a CRM esta de la siguiente manera:

https://direccion_ip:8085/sugarcrm

Las peticiones la hacen al puerto 8085 y el firewall la direcciona al 443.....como tal no esta publicado el puerto https en el server...una opción podría ser cambiar el puerto por el que hacen la petición? o definitivamente en el server utilizar otro puerto? En la administración de mi firewall ya deshabilite la administración por https ademas de que cambie el número de puerto....

Apache no lo he utilizado, de manera general como puedo hacer el cierre de directorios?

Gracias.

[Christian Cabrera]

Recuerda que Google es tu amigo: https://www.google.com.mx/webhp?sour...w=1304&bih=683

Utiliza las instrucciones permit y deny para cerrar accesos a directorios específicos.